Nasze urządzenie podlega przepisom o cyberbezpieczeństwie

Dyrektywa 2014/53/UE w sprawie urządzeń radiowych od zawsze zawiera wymagania dotyczące cyberbezpieczeństwa w art. 3 ust. 3: urządzenia radiowe nie mogą szkodzić sieci ani nadużywać jej zasobów (lit. d)), muszą mieć wbudowane zabezpieczenia chroniące dane osobowe i prywatność (lit. e)) oraz wspierać funkcje chroniące przed oszustwami (lit. f)). Wymagania te mają realne znaczenie tylko dla kategorii, które Komisja wskazuje w akcie delegowanym.^[1]

Wskazuje je rozporządzenie delegowane (UE) 2022/30. Lit. d) dotyczy urządzeń radiowych połączonych z internetem; lit. e) dotyczy urządzeń radiowych połączonych z internetem, urządzeń radiowych do opieki nad dziećmi, zabawek radiowych i radiowych urządzeń noszonych, które mogą przetwarzać dane osobowe, dane o ruchu lub dane o lokalizacji; lit. f) dotyczy urządzeń radiowych połączonych z internetem, które umożliwiają posiadaczowi przekazywanie pieniędzy, wartości pieniężnej lub waluty wirtualnej (art. 1). Wyroby medyczne i wyroby do diagnostyki in vitro są wyłączone, a urządzenia radiowe objęte również rozporządzeniem (UE) 2018/1139 (lotnictwo cywilne), rozporządzeniem (UE) 2019/2144 (homologacja typu pojazdów silnikowych) lub dyrektywą (UE) 2019/520 (elektroniczne systemy opłat drogowych) są wyłączone z lit. e) i f) (art. 2). Po zmianie rozporządzeniem delegowanym (UE) 2023/2444 stosuje się je od 1 sierpnia 2025 r. (art. 3).^[2]

Normy zharmonizowane EN 18031-1, -2 i -3:2024 opublikowano z ograniczeniami. Nie dają one domniemania zgodności w odniesieniu do części dotyczących uzasadnienia i wytycznych ani wtedy, gdy użytkownik może nie ustawiać ani nie używać żadnego hasła, a EN 18031-2 – w odniesieniu do urządzeń objętych jej punktami 6.1.3–6.1.6 – nie wtedy, gdy nie zapewniono kontroli dostępu przez rodzica lub opiekuna (decyzja wykonawcza (UE) 2025/138, załącznik). Jeżeli producent nie zastosował norm zharmonizowanych dotyczących wymagań z art. 3 ust. 3 albo zastosował je tylko częściowo, urządzenie musi przejść badanie typu UE lub pełne zapewnienie jakości (dyrektywa o urządzeniach radiowych, art. 17 ust. 4).^[3]

Kolejną warstwą jest akt o cyberodporności, rozporządzenie (UE) 2024/2847. Ma zastosowanie do produktów z elementami cyfrowymi, których przewidziane lub dające się racjonalnie przewidzieć użycie obejmuje połączenie danych z urządzeniem lub siecią (art. 2 ust. 1). Stosuje się go od 11 grudnia 2027 r., ale obowiązki zgłoszeniowe z art. 14 mają zastosowanie od 11 września 2026 r., a przepisy o jednostkach notyfikowanych od 11 czerwca 2026 r. (art. 71 ust. 2). Producenci zgłaszają aktywnie wykorzystywane podatności, przekazując wczesne ostrzeżenie w ciągu 24 godzin i zgłoszenie w ciągu 72 godzin od uzyskania informacji o nich, a sprawozdanie końcowe w ciągu 14 dni od udostępnienia poprawki (art. 14 ust. 1 i 2); poważne incydenty zgłasza się w ten sam sposób (art. 14 ust. 3 i 4). Rozporządzenie delegowane (UE) 2026/339 uchyla rozporządzenie delegowane (UE) 2022/30 ze skutkiem od 11 grudnia 2027 r. (art. 1).^[4][5]